Gebruikerstoegangsbestuur (UAM) – Rolle en Toestemmings

Hierdie onderwerp is deel van die SG Systems Global regulatoriese en operasionele woordelys.

Opgedateer Oktober 2025 • Toegangsbeheer, Skeiding van Pligte en Nakoming • IT/OT, QA, Vervaardiging, Laboratorium

Gebruikerstoegangsbestuur (UAM) is die bestuur en beheer van wie wat, waar en wanneer kan doen oor gereguleerde vervaardigingstelsels. In die praktyk vertaal UAM beleid in rolgebaseerde toestemmings wat aksies in MES- , LIMS- , ELN- , WMS- en QMS-modules reguleer, minste voorregte afdwing en konflikte voorkom via skeiding van pligte (SoD) . Omdat besluite soos bondelvrystelling en e-handtekeninge wetlike gewig dra onder 21 CFR Deel 11 en EU-aanhangsel 11 , vorm UAM die kern van data-integriteit en moet dit demonstreerbaar effektief, gevalideer ( CSV ) en ouditeerbaar wees deur middel van onveranderlike ouditroetes.

“In GxP is toegang 'n kwaliteitsbesluit: elke toestemming wat jy verleen, word 'n risiko wat jy moet beheer en bewys.”

1) Wat UAM dek—en wat dit nie doen nie

Dek: Identiteit, verifikasie (bv. SSO, MFA), magtiging (rolle, toestemmingstelle), SoD, bevoorregte toegang, nood-/glasbreekkontroles, diensrekeninge en API-tokens, sessiekontroles, goedkeuringswerkvloeie , dubbele verifikasie en periodieke toegangsoorsigte. Dit sluit ook die gebruikerslewensiklus in (aansluiter-verhuizer-verlater), opleiding-/bevoegdheidskontrole, en bewyse dat toegang ooreenstem met verantwoordelikhede wat in die kwaliteitstelsel gedefinieer is.

Dek nie: OB kan nie vergoed vir swak prosesontwerp of onbeheerde dokumente nie. Dit vervang nie prosedurele kontroles in eBMR nie , en dit verwyder ook nie die behoefte aan tweedepersoonsoorsig nie. OB maak aksies moontlik en beperk dit; dit valideer nie op sigself daardie aksies as wetenskaplik gesond of voldoenend nie.

2) Regs-, Stelsel- en Data-integriteitsankers

Toegangsbesluite kulmineer in e-rekords wat aan die kriteria van Deel 11 / Aanhangsel 11 moet voldoen : unieke identiteite, geverifieerde handtekeninge, tydstempelouditroetes en gevalideerde sekuriteitsbeheermaatreëls onder CSV . Beleide word in beheerde SOP's ( Dokumentbeheer ) behou, en bewyse word volgens Rekordbewaring behou . UAM moet ooreenstem met die organisasie se Kwaliteitsbestuurstelsel ( ISO 13485 , KMSR ) en IT-sekuriteitstandaarde, en periodiek deur Interne Oudit uitgedaag word.

3) Die Bewyspakket vir UAM

'n Ouditgereed UAM-lêer toon: goedgekeurde rolkatalogus en toestemmingsmatrikse; SoD-reëls en -uitsonderings; kartering van rolle na postitels en vereiste bevoegdhede in die Opleidingsmatriks ; JML-rekords (wie het versoek, wie het goedgekeur, wanneer voorsien/verwyder); verifikasie-instellings (SSO-verskaffer, MFA-faktore); sessiebeleide; diensrekening-eienaarskap en tokenrotasielogboeke; toegangsoorsigresultate en remediëring; en skakels na verwante veranderingskontroles, afwykings en CAPA. Alle inskrywings moet toeskryfbaar, tydstempeld en onveranderlik via ouditroetes wees.

4) Van Versoek tot Afdwinging—’n Standaard Pad

Toegang begin met 'n gedokumenteerde versoek wat gekoppel is aan 'n rol en bevoegdheidsprofiel. Toesighouers en QA/IT keur dit goed volgens SOP; die stelsel verskaf outomaties toegang via gidsgroepe of oorspronklike rolle. Voordat 'n gebruiker beheerde aksies kan uitvoer (bv. vrystelling, beskikking, resultaatinvoer), kontroleer die platform die opleidingseffektiwiteit en handtekeninginskrywing. Tydens gebruik, reguleer toestemmings stapsgewyse aksies in die eBMR/LIMS-werkvloei, dwing dubbele verifikasie af waar nodig, en teken elke aksie onder die gebruiker se identiteit op. Verhuizers veroorsaak herbeoordeling van SoD en toestemmings; vertrekkers vra onmiddellike de-voorsiening en token-herroeping. Periodieke toegangsoorsigte versoen die werklikheid met beleid en sluit gapings.

5) Interpretasie van Rolle, Toestemmings en SoD

Dink aan 'n rol as 'n benoemde bundel toestemmings wat 'n werkfunksie uitdruk, nie 'n persoon nie. Goeie rolle is klein, saamstelbaar en stabiel; toestemmings is eksplisiete werkwoorde (skep bondel, keur afwyking goed, teken resultaat). SoD verseker dat geen enkele rol (of gebruiker) dieselfde hoërisiko-besluit kan skep en goedkeur nie (bv. skep en vrystel 'n bondel). Uitsonderings moet skaars, tydgebonde en aangeteken wees as risiko-aanvaar met bestuursgoedkeuring en -hersiening. Rig rolle in lyn met die Beheerplan en werklike werkvloei sodat sekuriteit nie oplossings afdwing wat nakoming benadeel nie.

6) Aansluiter-Verhuizer-Verlaat (JML) Lewensiklus

Vir aansluiters, voorsien slegs die rolle wat deur die posbeskrywing en voltooide opleiding geregverdig word; vertraag die aktivering van e-handtekeninge totdat identiteit geverifieer is. Verskuiwers (bevorderings, oordragte) vereis delta-hersienings: verwyder eers ou toegang, voeg dan nuwe by; herevalueer SoD. Verlaters moet op die ingangsdatum gedeaktiveer word met onmiddellike herroeping van geloofsbriewe oor MES/LIMS/ELN/WMS en gekoppelde dienste; argiveer hul rekords volgens behoudsbeleid. Elke JML-stap word gekaart, goedgekeur en ouditeerbaar.

7) Verifikasie, e-handtekeninge en sessies

Gebruik gesentraliseerde SSO (SAML/OIDC) met MFA vir interaktiewe gebruikers; stel sessie-tyd-uit wat toepaslik is vir risiko en omgewing. Vir Deel 11-nakoming moet e-handtekeninge uniek wees aan 'n individu en nooit gedeel word nie; ondertekeningsaanwysings moet ten minste wagwoordherinvoer en betekenis van handtekening (hersien, goedkeur, verantwoordelikheid) vereis. Deaktiveer gekaste/gedeelde geloofsbriewe op gedeelde werkstasies; verkies gebruikerspesifieke aanmeldings met vinnige hermagtiging (kenteken plus PIN) om erkenning te handhaaf sonder om produktiwiteit in te boet.

8) Werksvloer- en Laboratoriumwerklikheid

Terminale op lyne en banke bedien dikwels baie operateurs. Vermy gedeelde generiese rekeninge—gebruik persoonlike rekeninge met vinnige oorskakeling, kentekenskanderings of kioskmodusse wat identiteit by elke stap behou. Bind toestelgebruik aan opleiding op spesifieke toerusting; blokkeer kritieke aksies (bv. weeg volgens toleransie, vrystellingstoetse) as opleiding verval het. Vir geïntegreerde instrumente, verseker dat die beherende gebruikersidentiteit in die rekord invloei (geen "stelsel"-gebruikeroorskrywings nie) en dat klokke/tydsones konsekwent is vir Data-integriteit.

9) Verskaffers, Diens en API-toegang

Verskaffers en outomatisering benodig toegang, maar nie carte blanche nie. Ken benoemde rekeninge aan individue toe wanneer moontlik; indien diensrekeninge onvermydelik is, beperk die omvang streng (minste voorreg), roteer geheime, beperk IP's en teken elke oproep aan. API-tokens moet van korte duur wees en deur 'n eienaar ouditeerbaar wees. Vir afstandondersteuning, tydbokstoegang, vereis goedkeurings en leg sessies vas waar moontlik. Behandel alle nie-menslike toegang as veranderinge onder MOC.

10) Nood- en Glasbreekkontroles

Definieer 'n minimale stel noodvermoëns (bv. stoplyn, beveiligde produk) wat via 'n glasbreekrol toegestaan ​​word. Toegang moet slegs geaktiveer word onder gedokumenteerde noodgevalle, outomaties verval, en waarskuwings en na-aksie-hersiening aktiveer. Moet nooit glasbreek as 'n gerief gebruik om SoD of opleidingshekke te omseil nie.

11) Veranderingsbeheer, Validering en Oudits

Rolmodelveranderinge, SoD-matrikse, verifikasie-instellings en gidsintegrasies is konfigurasie-items wat proporsioneel onder CSV gevalideer moet word en deur MOC beheer moet word . Toets negatiewe gevalle (rol kan nie teken nie, SoD-blokke keur goed), randvoorwaardes en die volledigheid van die ouditroete. Gebruik interne oudits om weesrekeninge, gedeelde geloofsbriewe en verouderde toestemmings uit te daag; behandel bevindinge deur CAPA.

12) Integrasie met Bedrywighede en Vrystelling

UAM moet voldoenende uitvoering versterk, nie vertraag nie. Koppel hoërisiko-aksies (bv. Lotvrystelling , Vrystelling van Voltooide Goedere , afwykingsgoedkeurings) aan toepaslike rolle; vereis dubbele verifikasie vir kritieke stappe (identiteitskontroles, etiketgoedkeuring). Koppel toestemming aan opleiding sodat ongekwalifiseerde gebruikers nie kan uitvoer of teken nie. Verseker dat UAM gekoppelde stelsels omvat sodat dieselfde persoon nie 'n blok in MES kan omseil deur in LIMS of WMS op te tree nie.

13) Metrieke wat beheer demonstreer

• MFA-dekking: % van interaktiewe rekeninge met MFA afgedwing.
• Voorsienings-/de-voorsieningstyd: mediaan ure vanaf goedkeuring tot verandering toegepas (aansluiter/verlater).
• SoD-oortredings voorkom/opgelos: blokkasies by die gebruikspunt en tyd tot remediëring.
• Weeskind- en gedeelde rekeninge: telling en ouderdom; teiken nul.
• Voltooiing van toegangsoorsig: stiptelikheidstempo en aantal veranderinge vanaf hersiening.
• Diensstokenhigiëne: rotasiekadens, eienaartoewysing, laas gebruikte ouderdom.
• Volledigheid van ouditroete: % van kritieke aksies met toerekenbare gebruiker/handtekening.

Hierdie KPI's toon dat toegang tydig, risikogebaseerd en voortdurend geverifieer is – nie stel-en-vergeet nie.

14) Algemene slaggate en hoe om dit te vermy

• Gedeelde aanmeldings of generiese "operateur". Vervang met persoonlike rekeninge en vinnige hermagtiging op gedeelde stasies.
• Rolkruip. Herstruktureer rolle periodiek en kry die regte grootte; verwyder toelaes vir persone wat verhuis/vertrek onmiddellik.
• Slegs SoD op papier. Implementeer tegniese blokke by die punt van aksie, nie net SOP-teks nie.
• Onbeheerde diensrekeninge. Ken eienaars, minste voorregte, rotasie, IP-limiete en monitering toe.
• Sigbladtoegangslyste. Handhaaf toegang in die gevalideerde platform met ouditroetes, nie vanlyn lêers nie.
• Opleiding nie gekoppel aan toegang nie. Dwing opleidingshekke af via die Opleidingsmatriks om ongekwalifiseerde uitvoering te voorkom.

15) Wat hoort in die UAM-rekord

Hou die rolkatalogus, toestemmingsmatrikse, SoD-reëls en toetsbewyse, JML-kaartjies en -goedkeurings, gids-/SSO-konfigurasie en -validering, MFA- en sessie-instellings, diensrekeningregister, periodieke toegangsoorsigte en -uitkomste, opleiding-na-rol-kartering, e-handtekening-inskrywingslogboeke, uitsonderings en glasbreekgebeurtenisse, en skakels na verwante MOC , afwykings , CAPA en argiefmetadata – alles onder Dokumentbeheer.

16) Hoe dit by V5 pas SG Systems Global

Gesentraliseerde rolle en SoD-afdwinging. Die V5-platform standaardiseer RBAC oor MES-, LIMS-, ELN-, WMS- en QMS-modules met 'n ondernemingsrolkatalogus, effektiewe datering en omgewingskeiding (DEV/TEST/PROD). SoD-beleide (bv. "kan nie beide laboratoriumresultate opneem en goedkeur nie," "kan nie 'n lot skep en vrystel nie") word op stapvlak afgedwing—wat aksies blokkeer en voldoenende roetering deur Goedkeuringswerkvloeie en Dubbele Verifikasie aanmoedig.

Identiteit, SSO en MFA. V5 integreer met ondernemingsidentiteitsverskaffers (SAML/OIDC) om SSO en MFA te lewer, terwyl Deel 11/Aanhangsel 11 e-handtekeningaanwysings en betekenis-van-handtekeningvaslegging gehandhaaf word. Kiosk- en badge-plus-PIN-modusse ondersteun gedeelde terminale sonder om gebruikerserkenning prys te gee.

Opleidingsbeheerde toegang. Rolle kan bevoegdhede van die Opleidingsmatriks vereis ; gebruikers wat nie huidige opleiding het nie, word verhoed om beheerde stappe uit te voer of te teken totdat hulle weer gekwalifiseer is. Opleidingsstatus verskyn kontekstueel in die eBMR-, LIMS- en QMS-skerms.

Diens-/API-beheer. V5 bestuur diensrekeninge en API-tokens met eienaars, omvang, vervaldatums, IP-beperkings en volle ouditbaarheid. Tokens kan tydgebonde wees vir verskafferondersteuning en outomaties herroep word tydens vertrekgebeurtenisse.

Lewensiklusbeheer en -validering. UAM-konfigurasies word weergawebeheer, veranderingsbestuur onder MOC , en word ondersteun deur CSV- skripte wat negatiewe/positiewe scenario's toets (bv. SoD-blokke, e-handtekeningaanwysings). Toegangsbeoordelings, skanderings van weesrekeninge en SoD-dashboards hou bestuur sigbaar vir QA en IT.

Ouditgereed bewys. Elke toegangsverlening, herroeping en gebruik van voorreg word vasgelê deur onveranderlike ouditroetes met gebruiker, tyd, rasionaal en goedkeuring. Verslae som MFA-dekking, JML-tydlyne, SoD-uitsonderings en e-handtekening-nakoming vir inspeksies op – sonder sigblad-saamvoeging.

Slotsom: V5 verander toegangsbeheer in 'n eersteklas, gevalideerde besigheidsproses – streng genoeg vir reguleerders, vinnig genoeg vir operateurs.

17) Gereelde vrae

V1. RBAC teenoor ABAC—het ons eienskappe nodig?
RBAC (rolle) is die basislyn vir GxP-duidelikheid en -validering. Attribute (perseel, skof, toerusting) kan toegang verfyn indien dit beheer en gevalideer word; hou besluite verduidelikbaar en toetsbaar.

V2. Word SSO vereis vir Deel 11?
Nie eksplisiet nie, maar SSO met MFA versterk identiteitsversekering. Nietemin moet e-handtekeninge uniek, toeskryfbaar en geverifieer wees tydens die ondertekening met toepaslike aanwysings.

V3. Hoe gereeld moet ons toegangsbeoordelings doen?
Ten minste kwartaalliks vir hoërisiko-rolle; stem ooreen met oudits en organisatoriese veranderinge. Hersien altyd na samesmeltings, reorganisasies of belangrike rolmodelopdaterings.

V4. Hoe hanteer ons diensrekeninge?
Behandel hulle as konfigurasie-items: ken eienaars toe, beperk omvang, roteer geheime, beperk netwerkbronne, monitor gebruik en hersien gereeld. Verkies toegang tot benoemde gebruikers waar moontlik.

V5. Kan operateurs 'n aanmelding op 'n lynterminaal deel?
Nee. Gebruik individuele rekeninge met vinnige hermagtiging (kenteken+PIN, kort sessies) om erkenning te behou en aan Deel 11/Aanhangsel 11-verwagtinge te voldoen.

V6. Wat verbind toegang met bevoegdheid?
Die Opleidingsmatriks. Koppel rolle aan vereiste kursusse/assesserings; blokkeer beheerde aksies totdat opleiding huidig ​​en effektief is.

Verwante leeswerk
• Stelsels en Integriteit: 21 CFR Deel 11 | aanhangsel 11 | Ouditroete | Data integriteit | CSV
• Uitvoering en Goedkeurings: eBMR | Goedkeuringswerkvloei | Dubbele verifikasie
• Bestuur en Ouditering: Dokument beheer | Interne Oudit | MOC | CAP
• Mense en Vermoë: Opleidingsmatriks | ISO 13485 | KMSR